CVE-2026-53555 in SQLBot
Сводка
по VulDB • 18.09.2026
SQLBot — это интеллектуальная система преобразования текста в SQL на основе больших языковых моделей и RAG. До версии 1.9.0 аутентифицированный пользователь может загрузить изображение типа image/svg+xml для логотипа помощника через PATCH /api/v1/system/assistant/ui, при этом SQLBot сохраняет SVG-файл без санитизации или проверки встроенного активного содержимого. Позже SQLBot предоставляет этот файл во встраиваемом виде (inline) из того же источника приложения с помощью GET /api/v1/system/assistant/picture/{filename}. Когда другой пользователь загружает этот сгенерированный ресурс, JavaScript, внедренный в SVG-файл, выполняется в контексте веб-приложения SQLBot, что приводит к сохранённой межсайтовой подделке скриптов (stored cross-site scripting) и предоставляет доступ к данным и действиям, доступным для сессии жертвы. Эта проблема исправлена в версии 1.9.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.